Kort gezegd: Het PrestaShop-beveiligingslek dat nu in het nieuws is, heet PHP2Shell en zit in PHP, niet in de webshop. Een PrestaShop-update helpt daar niet tegen. Controleer na PHP-patch en herstart de map override, de modules, de checkout en de medewerkersaccounts.
Wat PHP2Shell betekent voor PrestaShop-handelaren
PrestaShop is een PHP-applicatie die bij kleine en middelgrote handelaren verbreid is, vaak op shared hosting of eenvoudige vServers. De kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 maken het volgens het PHP-team mogelijk om op afstand en zonder inloggen schadelijke code uit te voeren, ongeacht de status van de webshop.
Voor een webshop staat veel op het spel: klantaccounts, adressen, bestellingen, facturen en toegangen tot betaal- en verzenddiensten. Aanvallers hebben het bij webshops vaak op de checkout gemunt, waar ze betaalinvoer kunnen meelezen voordat die bij de betaaldienstverlener aankomt.
Daar komt de tijdsfactor bij. Volgens mediaberichten werd op 17-10-2026 een eerste aanvalspoging waargenomen en verschenen de patches op 21-10-2026. Een webshop die in die periode bereikbaar was, kan zijn getroffen, ook al ziet vandaag alles er normaal uit. Bevestigde Indicators of Compromise zijn er tot nu toe niet; aanwijzingen komen voort uit ongebruikelijk gedrag, nieuwe bestanden en wijzigingen in de database.
PrestaShop-beveiligingslek: PHP-versie in het Back Office controleren
Onder Geavanceerde instellingen > Informatie toont PrestaShop server- en PHP-gegevens over de draaiende installatie. Verholpen upstreamversies zijn 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Hostingproviders voeren correcties soms als backport door; het getoonde nummer blijft dan gelijk. Laat u de status schriftelijk bevestigen.
Welke PHP-versies uw PrestaShop-versie ondersteunt, controleert u volgens de systeemeisen in de documentatie van de fabrikant op prestashop.com. Oudere webshops van de versies 1.6 en 1.7 draaien vaak op oudere PHP-versies; dan geldt wat onder Noodmaatregelen zonder patch staat, tot een upgrade mogelijk is.
Typische schuilplaatsen voor schadelijke code in PrestaShop
| Plek | Inhoud | Controlepunt |
|---|---|---|
app/config/parameters.php (oudere versies config/settings.inc.php) |
Databasetoegang, cookiesleutel | Wijzigingsdatum, bij vermoeden vernieuwen |
override/ |
overschreven klassen en controllers | elk bestand moet te verklaren zijn |
modules/ |
Modules uit de marktplaats en van derden | onbekende modules, gewijzigde bestanden |
themes/ |
Templates en JavaScript, ook voor de checkout | vreemde scripts |
img/, upload/, download/ |
Afbeeldingen, klantuploads, digitale producten | geen PHP-bestanden |
var/cache/, var/logs/ |
Cache en logbestanden | logs veiligstellen, cache opnieuw genereren |
install/ |
Installatiemap | mag in bedrijf niet aanwezig zijn |
De map override verdient bijzondere aandacht. Daar geplaatste code vervangt delen van PrestaShop, bijvoorbeeld de bestel- of betaalafhandeling, en wordt bij updates niet automatisch verwijderd.
Ongevaarlijke controles op de opdrachtregel en in de database (tabelvoorvoegsel afhankelijk van de installatie):
find override -name "*.php" -newermt "2026-10-17"
find img upload download -type f -name "*.php"
ls -d admin*
SELECT email, firstname, lastname, active FROM ps_employee;
Melden klanten ongebruikelijke betaalpagina's of kaartmisbruik na een aankoop, haal dan de checkout van het netwerk en maak een kopie van de logs vanaf 20-10-2026. Een gemanipuleerde checkout kan bij elke volgende aankoop gegevens onderscheppen.
Back Office, medewerkersaccounts en modules
Het Back Office staat in een map met een individuele naam die bij de installatie wordt toegekend. Controleer onder Geavanceerde instellingen de medewerkersaccounts en profielen op onbekende of verweesde toegangen, bijvoorbeeld van eerdere bureaus. Beperk de admin-map zo mogelijk tot bekende netwerken.
Modules uit de marktplaats en van derden breiden betaling, verzending, marketing en koppelingen uit. Elke module is extra PHP-code, en modules zonder actief onderhoud behoren tot de meest voorkomende toegangspoorten in PrestaShop-webshops. Deïnstalleer en wis wat ongebruikt is, in plaats van het alleen te deactiveren. Controleer ook de webservicesleutels voor de API op onbekende items.
Wat een PrestaShop-update wel en niet kan
Een update van PrestaShop of afzonderlijke modules dicht fouten in die code. Ze patcht PHP niet, herstart geen processen en verwijdert noch overrides noch vreemde modules, scripts in het thema of nieuwe medewerkersaccounts. Zijn persoonsgegevens onderschept, dan kan bovendien een meldplicht bestaan; algemene informatie biedt AVG-meldplicht: 72 uur, de beoordeling in het concrete geval neemt uw functionaris voor gegevensbescherming op zich. Waar handelaren verder op moeten letten, vat IT-beveiliging voor webshops samen.
Bij webshops met meerdere landen of multistore-functie draaien vaak meerdere domeinen op dezelfde installatie. Een vondst treft dan alle webshops, ook als de opvallende zaak maar in één is opgemerkt.
Hoe helpt PHP SOS concreet?
- Wij stemmen met uw hostingprovider PHP-status, backport en herstart af.
- Wij maken een kopie van logs, bestanden en database en documenteren de uitgangssituatie.
- Wij controleren overrides, modules, thema, uploadmappen, medewerkersaccounts en webservicesleutels.
- Bij vondsten neemt onze malwareverwijdering de reiniging en het vernieuwen van de toegangen over.
Veelgestelde vragen
Sluit een PrestaShop-update PHP2Shell?
Nee. PrestaShop-updates verhelpen fouten in de webshopcode. De PHP2Shell-kwetsbaarheden zitten in de PHP-interpreter en worden alleen gesloten door een PHP-update of een bevestigde backport met herstart van alle PHP-processen.
Waar zie ik in PrestaShop de PHP-versie?
In het Back Office onder Geavanceerde instellingen > Informatie. Daar staan server- en PHP-gegevens. Een doorgevoerde backport is aan het nummer niet te herkennen; dat bevestigt uw hostingprovider.
Wat is de override-map en waarom controleren?
In de map override kunnen klassen en controllers van PrestaShop worden overschreven. Code daar draait in plaats van het origineel, bijvoorbeeld in de checkout. Onbekende overrides zijn daarom een belangrijk controlepunt na een vermoeden.
Moet de admin-map zijn hernoemd?
PrestaShop kent bij de installatie een eigen naam toe aan de admin-map. Dat bemoeilijkt het vinden, maar vervangt geen sterke wachtwoorden, geen tweestapsverificatie en geen toegangsbeperking.